Gnosis Pay确认11月3日数据泄露:卡号与钱包地址外泄

11月3日发现未授权访问

Gnosis Pay是Gnosis生态内的加密货币Visa借记卡发行方,其于上周五确认,旗下旧版消费卡系统发生客户卡片数据与个人信息泄露。在官方泄露声明中,公司表示,11月3日在其Gnosis Pay品牌消费卡背后的旧平台上发现未授权访问,并在两小时内开始控制事态。客户资金未受影响,服务白标卡片项目的独立企业平台也未被波及。Gnosis Pay本质上是一家将支付卡与加密资产挂钩的金融科技服务商,因此本次事件属于支付基础设施层面的安全事故,而非区块链本身的问题。泄露的信息范围远超卡号本身。受影响用户收到的通知显示,完整卡号、有效期和CVV码与客户姓名、家庭住址,以及与账户绑定的加密钱包地址一并外泄。电子邮箱、电话号码和国籍也在其中,部分记录还包含IBAN和BIC码等银行信息。公司尚未披露受影响客户的数量,也未说明攻击者如何入侵,声明中这两个问题均无答案。

卡片已注销,强制启用3D验证

每位用户受到的影响程度并不相同。有客户收到的通知称,仅卡片上的姓名、收货地址和Gnosis Pay账户标识被暴露。Rotki创始人Lefteris Karapetsas公开了一份泄露通知,其中列出的信息包括他的完整家庭住址、姓名、卡号以及与其账户关联的全部钱包地址。同一份通知确认其卡片已于11月3日注销,且无任何可疑交易或资金流动记录,这一细节表明现阶段属于数据泄露,而非直接盗取资金。Gnosis Pay表示,公司已更换受损的安全凭证并修复了漏洞。作为过渡性控制措施,用于线上卡支付额外身份验证的3D Secure验证已对所有线上消费强制启用,有效期至旧平台定于12月20日的停运日。公司还提醒用户警惕利用其个人或交易信息进行的钓鱼攻击,并表示正在为可能发生的被盗数据滥用安排监控。由于完整卡片凭证位列泄露字段之中,尽管目前尚无滥用记录,公司仍将持续评估欺诈风险。

日活持卡人约2400名

第三方平台OpenRate追踪加密卡交易活动,其数据显示Gnosis Pay约有2400名日活持卡人,披露公开前24小时内处理的交易额为26.32万美元。该数字反映的是事发前后的基线使用量,并非可测量的活跃度下降,泄露后的使用数据也尚未公布。这至少勾勒出本次泄露可能波及的用户规模,不过公司并未确认这些持卡人是全部、部分还是仅有少数人受到影响。Gnosis Pay还为企业合作伙伴发行白标稳定币卡,该业务线运行在独立基础设施上,公司称其未受牵连。旧版消费系统原本就计划在年底停运,这一决定早于本次泄露;12月20日的停运日期现在同时成为过渡性3D Secure要求的截止点。官方声明对GNO代币只字未提,关注GNO技术分析的读者应将市场线索与安全事件分开看待。公司暂未回应置评请求,受影响客户数量与根本原因均未得到确认。

钓鱼风险而非资金损失

我们的判断是,关键区分在于哪些数据用于识别身份,哪些数据可以解锁资金。钱包地址只能识别身份,无法移动资金;私钥才具备动用资金的能力,而私钥并未出现在公司公布的泄露字段列表中。现实的风险是精准钓鱼:掌握了家庭住址、卡号和交易背景的人,完全有条件冒充发卡方或银行。将日常消费余额与长期储备分开存放的用户,即把储蓄放在硬件钱包而非热钱包中的持卡人,所受暴露要小得多。官方声明中没有任何关于入侵途径的解释,成因尚未有定论。就协议层面而言,Gnosis近期通过FCR将跨链桥确认时间缩短至约12秒,这是链层面的变更,与本次卡系统泄露无关;我们的加密货币交易所与加密货币钱包对比指南也详述了这二者在托管层面的区别。